iso27001培训教材-信息安全知识介绍

金 商 信 息 安 全 专 家计 算 机 信 息 防 护 系 统 iso27001 金 商信 息 安 全 专 家 金 商 信 息 安 全 专 家本 章 内 容u信 息 安 全 管 理 体 系u信 息 安 全 管 理 标 准u信 息 安 全 策 略u信 息 安 全 技 术 金 商 信 息 安 全 专 家信 息 技 术 /网 络 技 术 改 变 生 活 方 式政 府商 业 个 人 生 活金 融 金 商 信 息 安 全 专 家 信 息 安 全 现 状u日 益 增 长 的 安 全 威 胁n 攻 击 技 术 越 来 越 复 杂n 入 侵 条 件 越 来 越 简 单 金 商 信 息 安 全 专 家黑 客 攻 击 猖 獗 网 络 内 部 、 外 部 泄 密拒 绝 服 务 攻 击逻 辑 炸 弹特 洛 伊 木 马 黑 客 攻 击 计 算 机 病 毒后 门 、 隐 蔽 通 道蠕 虫 金 商 信 息 安 全 专 家u安 全 事 件n 每 年 都 有 上 千 家 政 府 网 站 被 攻 击u安 全 影 响n 任 何 网 络 都 可 能 遭 受 入 侵 金 商 信 息 安 全 专 家系 统 的 定 义 ：系 统 是 由 相 互 作 用 和 相 互 依 赖 的 若 干 部 分 结 合 成 的 具 特定 功 能 的 整 体 。 系 统 一 般 包 括 下 列 因 素 ：1、 一 种 产 品 或 者 组 件 ， 如 计 算 机 、 所 有 的 外 部 设 备 等 ；2、 操 作 系 统 、 通 信 系 统 和 其 他 相 关 的 设 备 、 软 件 ， 构成 了 一 个 组 织 的 基 本 结 构 ；3、 多 个 应 用 系 统 或 软 件 （ 财 务 、 人 事 、 业 务 等 ）4、 it部 门 的 员 工5、 内 部 用 户 和 管 理 层6、 客 户 和 其 他 外 部 用 户7、 周 围 环 境 ， 包 括 媒 体 、 竞 争 者 、 上 层 管 理 机 构 。 金 商 信 息 安 全 专 家 信 息 安 全 管 理 体 系u信 息 安 全 管 理 覆 盖 的 内 容 非 常 广 泛 ， 涉 及 到 信息 和 网 络 系 统 的 各 个 层 面 ， 以 及 生 命 周 期 的 各个 阶 段 。 不 同 方 面 的 管 理 内 容 彼 此 之 间 存 在 着一 定 的 关 联 性 ， 它 们 共 同 构 成 一 个 全 面 的 有 机整 体 ， 以 使 管 理 措 施 保 障 达 到 信 息 安 全 的 目 ，这 个 有 机 整 体 被 称 为 信 息 安 全 管 理 体 系 。 金 商 信 息 安 全 专 家 金 商 信 息 安 全 专 家信 息 安 全 管 理 体 系 定 义u定 义 ： 信 息 安 全 管 理 体 系 （ Information Security Management System， ISMS）是 组 织 在 整 体 或 特 定 范 围 内 建 立 的 信 息 安 全 方 针和 目 标 ， 以 及 完 成 这 些 目 标 所 用 的 方 法 和 手 段 所构 成 的 体 系 ； 信 息 安 全 管 理 体 系 是 信 息 安 全 管 理活 动 的 直 接 结 果 ， 表 示 为 方 针 、 原 则 、 目 标 、 方法 、 计 划 、 活 动 、 程 序 、 过 程 和 资 源 的 集 合 。 金 商 信 息 安 全 专 家建 立 信 息 安 全 管 理 体 系 的 意 义uISMS是 组 织 整 体 管 理 体 系 的 一 部 分 ， 是 组 织 在 整 体或 特 定 范 围 内 建 立 信 息 安 全 的 方 针 和 目 标 ， 以 及 完 成这 些 目 标 所 用 的 方 法 的 体 系 。u安 全 管 理 体 系 是 安 全 技 术 体 系 真 正 有 效 发 挥 保 护 作 用的 重 要 保 障 ， 安 全 管 理 体 系 的 涉 及 立 足 于 总 体 安 全 策略 ， 并 与 安 全 技 术 体 系 相 互 配 合 ， 增 强 技 术 防 护 体 系的 效 率 和 效 果 ， 同 时 ， 也 弥 补 当 前 技 术 无 法 完 全 解 决的 安 全 缺 陷 。 金 商 信 息 安 全 专 家组 织 建 立 、 实 施 与 保 持 ISMS将 会 产 生 如 下 作 用 ：1.强 化 员 工 的 信 息 安 全 意 识 ， 规 范 组 织 信 息 安 全 行 为 ；2.促 使 管 理 层 贯 彻 信 息 安 全 保 障 体 系 ；3.对 组 织 的 关 键 信 息 资 产 进 行 全 面 系 统 的 保 护 ， 维 持 竞 争优 势 ；4.在 信 息 系 统 受 到 侵 袭 时 ， 确 保 业 务 持 续 开 展 并 将 损 失 降到 最 低 程 度 ；5.使 组 织 的 生 意 伙 伴 和 客 户 对 组 织 充 满 信 心 ；6.如 果 通 过 体 系 认 证 ， 表 明 体 系 符 合 标 准 ， 证 明 组 织 有 能力 保 障 重 要 信 息 ， 可 以 提 高 组 织 的 知 名 度 与 信 任 度 。 金 商 信 息 安 全 专 家 信 息 安 全 管 理 体 系 标 准uISO27001是 建 立 和 维 护 信 息 安 全 管 理 体 系 的 标 准 ，它 要 求 应 该 通 过 这 样 的 过 程 来 建 立 ISMS框 架 ： 确 定 体系 范 围 ， 制 定 信 息 安 全 侧 率 ， 明 确 管 理 职 责 ， 通 过 风 险评 估 确 定 控 制 目 标 和 控 制 方 式 。uISO27001非 常 强 调 信 息 安 全 管 理 过 程 中 文 件 化 的 工作 ， ISMS的 文 件 体 系 应 该 包 括 安 全 策 略 、 适 用 性 声 明（ 选 择 和 未 选 择 的 控 制 目 标 和 控 制 措 施 ） 、 实 施 安 全 控制 所 需 的 程 序 文 件 、 ISMS管 理 和 操 作 程 序 ， 以 及 组 织围 绕 ISMS开 展 的 所 有 活 动 的 证 明 材 料 。 金 商 信 息 安 全 专 家信 息 安 全 管 理 的 基 本 原 则一 、 总 体 原 则 1、 主 要 领 导 负 责 原 则 2、 规 范 定 级 原 则 3、 以 人 为 本 原 则 4、 适 度 安 全 原 则 5、 全 面 防 范 、 突 出 重 点 原 则 6、 系 统 、 动 态 原 则 7、 控 制 社 会 影 响 原 则 。 二 、 安 全 策 略 管 理 1、 分 权 制 衡 2、 最 小 特 权 3、 选 用 成 熟 技 术 4、 普 遍 参 与 。 金 商 信 息 安 全 专 家主 要 领 导 负 责 原 则信 息 安 全 保 证 工 作 事 关 大 局 ， 企 业 、 组 织 各级 领 导 应 该 把 信 息 安 全 列 为 其 最 重 要 的 工 作内 容 之 一 ， 并 负 责 成 提 高 、 加 强 内 部 人 员 的安 全 意 识 ， 组 织 有 效 的 技 术 和 管 理 队 伍 ， 调动 优 化 配 置 必 要 的 资 源 和 经 费 ， 协 调 信 息 安全 管 理 工 作 与 各 部 门 工 作 的 关 系 ， 确 保 信 息安 全 保 障 工 作 的 落 实 和 效 果 。 金 商 信 息 安 全 专 家 规 范 定 级 原 则u分 级 、 分 类 是 信 息 安 全 保 障 工 作 有 的 放 矢 的 前 提 ， 是界 定 和 保 护 重 点 信 息 系 统 的 依 据 ， 只 有 通 过 合 理 、 规范 的 分 级 、 分 类 才 能 落 实 重 点 投 资 、 重 点 防 护 。 金 商 信 息 安 全 专 家以 人 为 本 原 则u信 息 安 全 保 障 在 很 大 程 度 上 受 制 于 人 为 的 因 素 。 加 强信 息 安 全 教 育 、 培 训 和 管 理 ， 强 化 安 全 意 识 和 法 制 观念 ， 提 升 职 业 道 德 ， 掌 握 安 全 技 术 ， 确 保 措 施 落 实 是做 好 信 息 安 全 管 理 工 作 的 重 要 保 证 。 金 商 信 息 安 全 专 家适 度 安 全 原 则u安 全 需 求 的 不 断 增 加 和 现 实 资 源 的 局 限 性 是 安 全 决 策处 于 两 难 境 地 ， 恰 当 地 平 衡 安 全 投 入 与 效 果 是 从 全 局上 处 置 好 安 全 管 理 工 作 的 出 发 点 。 金 商 信 息 安 全 专 家全 面 防 范 、 突 出 重 点 的 原 则u全 面 防 范 是 保 障 信 息 系 统 安 全 的 关 键 。 它 需 要 从 人 员 、管 理 和 技 术 等 方 面 ， 在 预 警 、 保 护 、 检 测 、 反 应 、 恢复 和 跟 踪 等 多 个 环 节 上 采 用 多 种 技 术 实 现 。 同 时 ， 又要 从 组 织 和 机 构 的 实 际 情 况 出 发 ， 突 出 自 身 的 安 全 管理 重 点 。 金 商 信 息 安 全 专 家系 统 、 动 态 原 则u信 息 安 全 管 理 工 作 的 系 统 特 征 突 出 。 要 按 照系 统 工 程 的 要 求 ， 注 意 各 方 面 、 各 层 次 、 各时 期 的 相 互 协 调 、 匹 配 和 衔 接 ， 以 便 体 现 系统 集 成 效 果 和 前 期 投 入 的 效 益 。 同 时 ， 信 息安 全 又 是 一 种 状 态 和 动 态 反 馈 过 程 ， 随 着 安全 利 益 和 系 统 脆 弱 性 时 空 分 布 的 变 化 ， 威 胁程 度 的 提 高 ， 系 统 环 境 的 变 化 以 及 人 员 对 系统 安 全 认 识 的 深 化 等 ， 应 及 时 地 将 现 有 的 安全 策 略 、 风 险 接 受 程 度 和 保 护 措 施 进 行 复 查 、修 改 、 调 整 以 至 提 升 安 全 管 理 等 级 。 金 商 信 息 安 全 专 家控 制 社 会 影 响 原 则u对 安 全 事 件 的 处 理 应 有 授 权 者 适 时 披 露 并 发 布 准 确 一致 的 有 关 信 息 ， 避 免 带 来 不 良 的 社 会 影 响 。 金 商 信 息 安 全 专 家分 权 制 衡 策 略u减 少 未 授 权 的 修 改 或 滥 用 系 统 资 源 的 机 会 ， 对 特 定 职能 或 责 任 领 域 的 管 理 能 力 实 施 分 离 、 独 立 审 计 ， 避 免操 作 权 力 过 分 集 中 。 金 商 信 息 安 全 专 家最 小 特 权 策 略u任 何 实 体 （ 如 用 户 、 管 理 员 、 进 程 、 应 用 或 系 统 ） 仅享 有 该 实 体 需 要 完 成 其 任 务 所 必 需 的 特 权 ， 不 应 享 有任 何 多 余 的 特 权 。 金 商 信 息 安 全 专 家选 用 成 熟 技 术 策 略u成 熟 的 技 术 提 供 了 可 靠 性 、 稳 定 性 保 证 ， 采 用 新 技 术时 要 重 视 其 成 熟 的 程 度 。 如 果 新 技 术 势 在 必 行 ， 应 该首 先 局 部 试 点 ， 然 后 逐 步 推 广 ， 减 少 或 避 免 可 能 出 现的 损 失 。 金 商 信 息 安 全 专 家普 遍 参 与 策 略u不 论 信 息 系 统 的 安 全 等 级 如 何 ， 要 求 信 息 系 统 所 涉 及的 人 员 普 遍 参 与 并 与 社 会 相 关 方 面 协 同 、 协 调 ， 共 同保 障 信 息 系 统 安 全 。 金 商 信 息 安 全 专 家 信 息 安 全 管 理 的 目 标 如 下 ： 金 商 信 息 安 全 专 家信 息 安 全 管 理 内 容流 程 规 范 性 整 体 协 调 性执 行 落 实 性变 更 可 控 性责 任 性持 续 改 进 型计 划 性 合 规 性 信 息 安 全管 理 内 容 金 商 信 息 安 全 专 家 信 息 安 全 管 理 的 基 本 任 务1、 通 过 信 息 安 全 管 理 过 程 完 成 信 息 安 全 管 理 方面 的 要 求 。2、 通 过 信 息 安 全 管 理 过 程 驱 动 信 息 安 全 技 术 的实 施 ， 达 到 信 息 安 全 在 技 术 方 面 的 要 求 。 金 商 信 息 安 全 专 家信 息 安 全 方 针 与 策 略u信 息 安 全 方 针 和 策 略 主 要 包 括 对 信 息 安 全 进 行 总 体 性指 导 和 规 划 的 管 理 过 程 。 这 些 过 程 包 括 ： 安 全 方 针 和策 略 、 资 金 投 入 管 理 和 信 息 安 全 规 划 等 。 金 商 信 息 安 全 专 家安 全 方 针 和 策 略u方 针 和 策 略 属 于 一 般 管 理 中 的 策 略 管 理 。 方 针 和 策 略是 信 息 安 全 保 障 工 作 的 整 体 性 指 导 和 要 求 。 安 全 方 针和 策 略 需 要 有 相 应 的 制 定 、 审 核 和 改 进 过 程 。 金 商 信 息 安 全 专 家资 金 投 入 管 理u信 息 安 全 保 障 工 作 需 要 有 足 够 的 资 金 支 撑 。 但 从 另 一个 方 面 来 讲 ， 绝 对 的 安 全 是 无 法 实 现 的 ， 因 此 ， 需 要考 虑 资 金 投 入 和 经 济 效 益 之 间 的 平 衡 。 金 商 信 息 安 全 专 家信 息 安 全 规 划u信 息 安 全 保 障 工 作 是 一 项 涉 及 面 较 广 的 工 作 ， 同 时 也是 一 项 持 续 的 、 长 期 的 工 作 。 因 此 ， 信 息 安 全 保 障 工作 需 要 有 长 期 、 中 期 、 短 期 的 计 划 。 金 商 信 息 安 全 专 家信 息 安 全 人 员 和 组 织u人 员 和 组 织 管 理 是 信 息 安 全 管 理 的 基 本 过 程 。 人 员 和组 织 是 执 行 信 息 安 全 保 障 工 作 的 主 体 。 金 商 信 息 安 全 专 家在 人 员 和 组 织 管 理 方 面 ， 最 基 本 的 管 理包 括 ：u1、 保 障 有 足 够 的 人 力 资 源 从 事 信 息 安 全 保 障 工 作 ；u2、 确 保 人 员 有 明 确 的 角 色 和 责 任 ；u3、 保 证 从 业 人 员 经 过 了 适 当 的 信 息 安 全 教 育 和 培 训 ，有 足 够 的 安 全 意 识 。u4、 机 构 中 的 信 息 安 全 相 关 人 员 能 够 在 有 效 的 组 织 结构 下 展 开 工 作 。 金 商 信 息 安 全 专 家基 于 信 息 系 统 各 个 层 次 的 安 全 管 理u信 息 系 统 是 有 层 次 的 。 因 此 在 信 息 系 统 的 安 全 保 护 中也 存 在 层 次 的 特 点 ， 对 应 各 个 层 次 也 有 相 应 的 信 息 安全 管 理 工 作 。 基 于 信 息 系 统 的 各 个 层 次 ， 可 相 应 在 如下 层 次 中 开 展 信 息 安 全 管 理 ：u环 境 和 设 备 安 全 、 网 络 和 通 信 安 全 、 主 机 和 系 统 安 全 、应 用 和 业 务 安 全 、 数 据 安 全 。 金 商 信 息 安 全 专 家环 境 和 设 备 安 全u也 称 为 物 理 安 全 。 在 这 类 安 全 管 理 过 程 中 ， 主 要 是 涉及 信 息 系 统 和 信 息 工 作 所 在 的 环 境 安 全 ， 以 及 信 息 设备 方 面 的 安 全 。 另 外 ， 文 档 和 介 质 是 存 储 数 据 的 特 殊载 体 ， 因 此 ， 也 应 当 对 其 进 行 适 度 的 管 理 。 物 理 安 全是 上 层 安 全 的 基 础 。 金 商 信 息 安 全 专 家网 络 和 通 信 安 全u网 络 系 统 和 通 信 系 统 使 得 信 息 系 统 可 以 覆 盖 各 个 地 理位 置 和 业 务 场 所 。 网 络 和 通 信 安 全 ， 特 别 是 全 程 全 网的 安 全 是 信 息 安 全 保 障 工 作 的 关 键 环 节 。 金 商 信 息 安 全 专 家主 机 和 系 统 安 全u主 机 及 主 机 上 的 操 作 系 统 、 数 据 库 管 理 系 统 以 及 各 种支 撑 系 统 等 ， 是 承 载 业 务 系 统 的 基 础 平 台 。 主 机 和 系统 是 信 息 系 统 威 胁 的 主 要 目 标 之 一 。 金 商 信 息 安 全 专 家应 用 和 业 务 安 全u应 用 和 业 务 系 统 是 最 终 实 现 各 项 业 务 工 作 的 上 层 系 统 。对 相 应 应 用 系 统 的 安 全 管 理 要 与 具 体 的 业 务 特 点 相 结合 。 金 商 信 息 安 全 专 家数 据 安 全u数 据 安 全 在 信 息 安 全 中 占 有 非 常 重 要 的 地 位 。 数 据 的保 密 性 、 数 据 的 完 整 性 、 数 据 内 容 的 真 实 性 和 可 靠 性等 安 全 特 性 的 要 求 在 业 务 中 都 非 常 突 出 。 金 商 信 息 安 全 专 家基 于 信 息 系 统 生 命 周 期 的 安 全 管 理u信 息 系 统 是 由 生 命 周 期 的 。 信 息 安 全 保 障 也 涉 及 到 信息 系 统 生 命 周 期 的 各 个 阶 段 。u信 息 系 统 生 命 周 期 可 以 划 分 为 两 个 阶 段 ：u1、 系 统 投 入 前 的 工 程 设 计 和 开 发 阶 段 ；u2、 系 统 的 运 行 和 维 护 阶 段 。 金 商 信 息 安 全 专 家信 息 系 统 安 全 和 信 息 系 统 本 身 的 三 同 步u1、 同 步 规 划u2、 同 步 建 设u3、 同 步 运 行 金 商 信 息 安 全 专 家项 目 工 程 安 全 管 理u在 信 息 系 统 投 入 运 行 前 ， 信 息 系 统 安 全 的 能 力 、 强 度 、脆 弱 性 、 可 改 进 的 潜 力 等 方 面 有 相 当 的 部 分 已 经 确 定和 定 型 。 因 此 ， 对 于 一 个 信 息 系 统 ， 不 应 当 在 系 统 建设 完 成 后 再 考 虑 信 息 安 全 问 题 ， 而 应 当 从 系 统 建 设 的初 期 开 始 ， 在 建 设 的 整 个 过 程 中 同 步 考 虑 。 金 商 信 息 安 全 专 家日 常 运 行 于 维 护 的 安 全 管 理u一 个 信 息 系 统 及 其 信 息 安 全 系 统 建 设 完 成 后 ， 其 安 全工 作 并 没 有 结 束 。 真 正 的 安 全 效 果 需 要 通 过 日 常 运 行中 的 安 全 管 理 来 实 现 ， 工 程 过 程 中 奠 定 的 信 息 安 全 基础 需 要 通 过 管 理 手 段 加 以 发 挥 。 金 商 信 息 安 全 专 家配 置 管 理 和 变 更 管 理u配 置 管 理 和 变 更 管 理 是 任 何 形 式 的 管 理 中 不可 或 缺 的 管 理 过 程 。 在 信 息 安 全 管 理 中 ， 这两 方 面 管 理 的 作 用 尤 为 突 出 。u1、 配 置 管 理 ： 从 信 息 安 全 管 理 的 角 度 看 ， 应当 对 被 保 护 的 资 产 以 及 相 应 的 保 护 措 施 进 行配 置 描 述 ， 并 应 当 对 各 个 配 置 描 述 进 行 持 续的 跟 踪 管 理 。u2、 变 更 管 理 ： 人 员 、 设 备 、 流 程 等 各 个 方 面的 变 化 ， 都 可 能 导 致 信 息 安 全 风 险 的 变 化 ，因 此 ， 要 对 信 息 系 统 中 重 要 的 变 更 进 行 管 理 。需 要 建 立 正 规 的 变 更 流 程 来 控 制 变 更 可 能 导致 的 风 险 。 金 商 信 息 安 全 专 家文 档 化 和 流 程 规 范 化u文 档 化 是 信 息 安 全 管 理 工 作 的 重 要 部 分 。 只 有 将 各 种管 理 办 法 、 管 理 过 程 、 管 理 要 求 等 通 过 文 档 的 形 式 明确 下 来 ， 才 能 保 证 信 息 安 全 管 理 工 作 进 一 步 得 到 落 实和 贯 彻 。 业 务 的 运 行 以 及 单 位 自 身 的 正 常 运 营 需 要 通过 许 多 操 作 过 程 （ 流 程 ） 来 具 体 实 现 ， 管 理 流 程 的 规范 化 程 度 可 以 体 现 管 理 的 水 平 。 金 商 信 息 安 全 专 家新 技 术 、 新 方 法 的 跟 踪 和 采 用u不 断 运 用 新 技 术 、 新 方 法 是 提 高 业 务 能 力 和竞 争 力 水 平 的 重 要 手 段 。 因 此 ， 对 于 新 技 术和 新 方 法 要 不 断 跟 踪 ， 并 有 计 划 地 将 新 技 术和 新 方 法 应 用 到 业 务 系 统 中 。 甚 至 ， 为 了 保证 竞 争 力 的 持 续 提 高 ， 还 要 进 行 前 瞻 性 的 技术 和 方 法 研 究 。 但 是 新 的 技 术 和 方 法 可 能 带来 新 的 风 险 ， 甚 至 一 些 风 险 在 该 技 术 没 有 得到 广 泛 应 用 和 成 熟 化 之 前 很 难 被 发 现 。 因 此 ，在 采 取 任 何 较 新 的 技 术 和 方 法 之 前 ， 都 要 进行 严 格 的 安 全 评 估 。 金 商 信 息 安 全 专 家风 险 管 理u风 险 管 理 是 基 本 管 理 过 程 之 一 。 信 息 安 全 风 险 管 理 是整 体 风 险 管 理 的 一 个 有 机 组 成 部 分 ， 是 其 在 信 息 化 领域 的 具 体 体 现 。 在 信 息 安 全 风 险 管 理 过 程 中 ， 要 实 施如 下 工 作 ：u1、 资 产 鉴 别 、 分 类 和 评 价u2、 威 胁 鉴 别 和 评 价u3、 脆 弱 性 评 估 评 估 防 护 措 施 的 效 力 和 存 在 的 脆 弱性u4、 安 全 风 险 评 估 和 评 级 综 合 资 产 、 威 胁 、 脆 弱 性的 评 估 和 评 价 ， 完 成 最 终 的 风 险 评 估 和 评 级 。u5、 决 策 并 实 施 风 险 处 理 措 施 根 据 风 险 评 估 的 结 果 ，作 出 风 险 处 理 和 控 制 的 相 关 决 策 ， 并 投 入 实 施 。 金 商 信 息 安 全 专 家业 务 连 续 性 管 理u业 务 连 续 性 管 理 不 仅 仅 是 灾 难 恢 复 、 危 机 管 理 、 风 险管 理 控 制 或 者 技 术 恢 复 ， 也 不 仅 仅 是 一 个 专 业 的 技 术问 题 ， 更 重 要 的 是 一 个 业 务 驱 动 和 高 层 驱 动 的 管 理 问题 。 它 是 一 个 全 盘 的 管 理 过 程 ， 重 在 识 别 潜 在 的 影 响 ，建 立 整 体 的 恢 复 能 力 和 顺 应 能 力 ， 在 危 机 或 灾 害 发 生时 保 护 信 息 系 统 所 有 者 的 声 誉 和 利 益 。 金 商 信 息 安 全 专 家符 合 性 审 核u符 合 性 审 核 是 确 保 整 体 管 理 工 作 有 效 实 施 的 重 要 管 理过 程 。 此 类 管 理 过 程 可 以 将 信 息 安 全 管 理 工 作 纳 入 到一 个 良 性 的 、 持 续 改 进 的 循 环 中 。 需 要 考 虑 的 审 核 内容 包 括 ： 法 律 和 法 规 、 内 部 的 方 针 和 制 度 、 技 术 标 准以 及 其 他 需 要 遵 循 的 各 种 范 围 要 求 。 金 商 信 息 安 全 专 家信 息 安 全 管 理 体 系 构 成u1、 方 针 与 策 略 管 理u2、 风 险 管 理u3、 人 员 与 组 织 管 理u4、 环 境 与 设 备 管 理u5、 网 络 与 通 信 管 理u6、 主 机 与 系 统 管 理 u7、 应 用 于 业 务 管 理u8、 数 据 /文 档 /介 质u9、 项 目 工 程 管 理u10、 运 行 维 护 管 理u11、 业 务 连 续 性 管 理u12、 合 规 性 管 理 金 商 信 息 安 全 专 家 数 据 /文 档 /介 质 管 理方 针 和 策 略 管 理应 用 与 业 务 管 理主 机 与 系 统 管 理网 络 与 通 信 管 理环 境 与 设 备 管 理风 险 管 理业 务 连 续 性 管 理 项 目工 程管 理运 行维 护管 理 人员和组织管理信息安全管理体系构成 金 商 信 息 安 全 专 家方 针 与 策 略 管 理u确 保 企 业 、 组 织 拥 有 明 确 的 信 息 安 全 方 针 以 及 配 套 的策 略 和 制 度 ， 以 实 现 对 信 息 安 全 工 作 的 支 持 和 承 诺 ，保 证 信 息 安 全 的 资 金 投 入 。 金 商 信 息 安 全 专 家风 险 管 理u信 息 安 全 建 设 不 是 避 免 风 险 的 过 程 ， 而 是 管 理 风 险 的过 程 。 没 有 绝 对 的 安 全 ， 风 险 总 是 存 在 的 。 信 息 安 全体 系 建 设 的 目 标 就 是 把 风 险 控 制 在 可 以 接 受 的 范 围 之内 ， 风 险 管 理 同 时 也 是 一 个 动 态 持 续 的 过 程 。 金 商 信 息 安 全 专 家人 员 与 组 织 管 理u建 立 组 织 机 构 ， 明 确 人 员 岗 位 职 责 ， 提 供 安 全 教 育 和培 训 ， 对 第 三 方 人 员 进 行 管 理 ， 协 调 信 息 安 全 监 管 部门 与 行 内 其 他 部 门 之 间 的 关 系 ， 保 证 信 息 安 全 工 作 的人 力 资 源 要 求 ， 避 免 由 于 人 员 和 组 织 上 的 错 误 产 生 信息 安 全 风 险 。 金 商 信 息 安 全 专 家环 境 与 设 备 管 理u控 制 由 于 物 理 环 境 和 硬 件 设 施 的 不 当 所 产 生 的 风 险 。管 理 的 内 容 包 括 物 理 环 境 安 全 、 设 备 安 全 、 介 质 安 全等 。 金 商 信 息 安 全 专 家网 络 与 通 信 安 全u控 制 、 保 护 网 络 和 通 信 系 统 ， 防 止 受 到 破 坏 和 滥 用 ，避 免 和 降 低 由 于 网 络 和 通 信 系 统 的 问 题 对 业 务 系 统 的损 害 。 金 商 信 息 安 全 专 家主 机 与 系 统 管 理u控 制 和 保 护 主 机 及 其 系 统 ， 防 止 受 到 破 坏 和 滥 用 ， 避免 和 降 低 由 此 对 业 务 系 统 的 损 害 。 金 商 信 息 安 全 专 家应 用 与 业 务 管 理u对 各 类 应 用 和 业 务 系 统 进 行 安 全 管 理 ， 防 止 受 到 破 坏和 滥 用 。 金 商 信 息 安 全 专 家数 据 /文 档 /介 质 管 理u采 用 数 据 加 密 和 完 整 性 保 护 机 制 ， 防 止 数 据 被 窃 取 和篡 改 ， 保 护 业 务 数 据 的 安 全 。 金 商 信 息 安 全 专 家项 目 工 程 管 理u保 护 信 息 系 统 项 目 过 程 的 安 全 ， 确 保 项 目 的 成 果 是 可靠 的 安 全 系 统 。 金 商 信 息 安 全 专 家运 行 维 护 管 理u保 护 信 息 系 统 在 运 行 期 间 的 安 全 ， 并 确 保 系 统 维 护 工作 的 安 全 。 金 商 信 息 安 全 专 家业 务 连 续 性 管 理u通 过 设 计 和 执 行 业 务 连 续 性 计 划 ， 确 保 信 息 系 统 在 任何 灾 难 和 攻 击 下 ， 都 能 够 保 证 业 务 的 连 续 性 。 金 商 信 息 安 全 专 家合 规 性 管 理u确 保 信 息 安 全 保 障 工 作 符 合 国 家 法 律 、 法 规 的 要 求 ；并 且 信 息 安 全 方 针 、 规 定 和 标 准 得 到 了 遵 循 。 金 商 信 息 安 全 专 家12项 信 息 安 全 管 理 类 的 作 用 关 系u1、 方 针 与 策 略 管 理 ： 是 整 个 信 息 安 全 管 理 工 作 的 基础 和 整 体 指 导 ， 对 于 其 他 所 有 的 信 息 安 全 管 理 类 都 有指 导 和 约 束 的 关 系 。 金 商 信 息 安 全 专 家12项 信 息 安 全 管 理 类 的 作 用 关 系u2、 人 员 与 组 织 管 理 ： 是 要 根 据 方 针 和 策 略 来 执 行 的信 息 安 全 管 理 工 作 。 金 商 信 息 安 全 专 家12项 信 息 安 全 管 理 类 的 作 用 关 系u3、 合 规 性 管 理 ： 指 导 如 何 检 查 信 息 安 全 管 理 工 作 的效 果 。 特 别 是 对 于 国 家 法 律 法 规 ， 方 针 政 策 和 标 准 符合 程 度 的 检 验 。 金 商 信 息 安 全 专 家12项 信 息 安 全 管 理 类 的 作 用 关 系u4、 根 据 方 针 与 策 略 ， 由 人 员 与 组 织 实 施 信 息 安 全 管理 工 作 。 在 实 施 中 主 要 从 两 个 角 度 来 考 虑 问 题 ， 即 风险 管 理 和 业 务 连 续 性 管 理 。 金 商 信 息 安 全 专 家12项 信 息 安 全 管 理 类 的 作 用 关 系u5、 根 据 信 息 系 统 的 生 命 周 期 ， 可 以 将 信 息 系 统 分 为两 个 阶 段 ， 即 项 目 工 程 开 发 阶 段 和 运 行 维 护 阶 段 。 这两 个 信 息 安 全 管 理 类 体 现 了 信 息 系 统 和 信 息 安 全 工 作的 生 命 周 期 特 性 。 金 商 信 息 安 全 专 家第 二 节 信 息 安 全 管 理 标 准u一 、 BS7799-2/ISO 27001u二 、 其 他 标 准 金 商 信 息 安 全 专 家n 信 息 安 全 管 理 体 系 规 范 (Specification for Information Security Management System)n 说 明 了 建 立 、 实 施 、 维 护 ， 并 持 续 改 进 ISMS的 要 求n 指 导 实 施 者 如 何 利 用 BS7799-1来 建 立 一 个 有 效 的ISMSn BSI提 供 依 据 BS7799-2所 建 立 ISMS的 认 证BS7799-2/ISO 27001 金 商 信 息 安 全 专 家 建 立 ISMS（ PLAN）n 定 义 ISMS的 范 围 和 策 略n 识 别 和 评 估 风 险n 评 估 现 有 保 证 措 施n 准 备 适 用 性 说 明n 取 得 管 理 层 对 残 留 风 险 的 认 可 ， 并 获 得 实 施 ISMS的授 权BS7799-2/ISO 27001 金 商 信 息 安 全 专 家实 施 ISMS（ DO）n 制 订 并 实 施 风 险 处 理 计 划n 实 施 安 全 控 制 措 施n 实 施 安 全 意 识 和 安 全 教 育 培 训n 实 施 检 测 和 响 应 安 全 机 制BS7799-2/ISO 27001 金 商 信 息 安 全 专 家监 视 和 复 查 ISMS（ CHECK）n 实 施 监 视 程 序 和 控 制n 定 期 复 审 ISMS的 效 力n 定 期 进 行 ISMS内 部 审 计n 复 查 残 留 风 险 和 可 接 受 风 险 的 水 平BS7799-2/ISO 27001 金 商 信 息 安 全 专 家改 进 ISMS（ ACT）n 对 ISMS实 施 可 识 别 的 改 进n 实 施 纠 正 和 预 防 措 施n 确 保 改 进 成 果 满 足 预 期 目 标BS7799-2/ISO 27001 金 商 信 息 安 全 专 家强 调 文 档 化 管 理 的 重 要 作 用 ， 文 档 体 系 包 括n 安 全 策 略n 适 用 性 声 明n 实 施 安 全 控 制 的 规 程 文 档n ISMS管 理 和 操 作 规 程n 与 ISMS有 关 的 其 它 文 档BS7799-2/ISO 27001 金 商 信 息 安 全 专 家建 立 ISMS的 过 程n 制 订 安 全 策 略n 确 定 体 系 范 围n 明 确 管 理 职 责n 通 过 安 全 风 险 评 估 确 定 控 制 目 标 和 控 制 措 施n 复 查 、 维 护 与 持 续 改 进BS7799-2/ISO 27001 金 商 信 息 安 全 专 家二 、 其 他 标 准1、 PD3000 BS7799标 准 本 身 是 不 具 有 很 强 的 可实 施 性 的 ， 为 了 指 导 组 织 更 好 地 建 立ISMS并 应 对 BS7799认 证 审 核 的 要 求 ，BSIDISC提 供 了 一 组 有 针 对 性 的 指 导 文件 ， 即 PD3000系 列 。 金 商 信 息 安 全 专 家2、 CC（ 1） 信 息 技 术 产 品 和 系 统 安 全 性 测 评 标 准 ， 是 信 息 安 全 标准 体 系 中 非 常 重 要 的 一 个 分 支 ； 是 目 前 国 际 上 最 通 行 的 信 息技 术 产 品 及 系 统 安 全 性 测 评 标 准 ， 也 是 信 息 技 术 安 全 性 评 估结 果 国 际 互 认 的 基 础 。 （ 2） CC、 ISO/IEC15408、 GB/T18336是 同 一 个 标 准 。 （ 3） CC的 组 要 目 标 读 者 是 用 户 、 开 发 者 和 评 估 者 。 （ 4） 与 BS7799标 准 相 比 ， CC的 侧 重 点 放 在 系 统 和 产 品的 技 术 指 标 评 价 上 ； 组 织 在 依 照 BS7799标 准 来 实 施 ISMS时 ， 一 些 牵 涉 系 统 和 产 品 安 全 的 技 术 要 求 ， 可 以 借 鉴 CC标准 。 金 商 信 息 安 全 专 家3、 ISO/IEC TR 13335（ 1） 信 息 和 通 信 技 术 安 全 管 理 ， 是 由 ISO/IEC JTC1制 定 的 技 术 报 告 ， 是 一 个 信 息 安 全 管 理 方 面 的 指 导 性标 准 ， 其 目 的 是 为 有 效 实 施 IT安 全 管 理 提 供 建 议 和 支持 。 （ 2） 对 信 息 安 全 风 险 及 其 构 成 要 素 间 关 系 的 描 述 非常 具 体 ， 对 风 险 评 估 方 法 过 程 的 描 述 很 清 晰 ， 可 用 来指 导 实 施 。 金 商 信 息 安 全 专 家4、 SSE-CMM（ 1） SSE-CMM模 型 是 CMM在 系 统 安 全 工 程 这 个 具 体 领域 应 用 而 产 生 的 一 个 分 支 ， 是 美 国 国 家 安 全 局 （ NSA）领 导 开 发 的 ， 是 专 门 用 于 系 统 安 全 工 程 的 能 力 程 度 度 模型 。 （ 2） ISO/IEC DIS 21827信 息 技 术 系 统 安 全 工程 能 力 成 熟 度 模 型 （ 3） SSE-CMM将 系 统 安 全 工 程 成 熟 度 划 分 为 5个 等级 （ 4） SSE-CMM可 以 作 为 评 估 工 程 实 施 组 织 （ 如 安 全服 务 提 供 商 ） 能 力 与 资 质 的 标 准 。 我 国 国 家 信 息 安 全 测评 认 证 中 心 在 审 核 专 业 机 构 信 息 安 全 服 务 资 质 时 ， 基 本上 就 是 依 据 SSE-CMM来 审 核 并 划 分 等 级 的 。 金 商 信 息 安 全 专 家5、 NIST SP 800系 列 美 国 国 家 标 准 技 术 委 员 会 （ NIST） 发 布 的Special Publication 800文 档 是 一 系 列 针 对 信息 安 全 技 术 和 管 理 领 域 的 实 践 参 考 指 南 。6、 ITIL 信 息 技 术 基 础 设 施 库 （ IT Infrastructure Library） ， 是 由 英 国 中 央 计 算 机 与 电 信 局（ CCTA） 发 布 的 关 于 IT服 务 管 理 最 佳 实 践 的 建议 和 指 导 方 针 ， 旨 在 解 决 IT服 务 质 量 不 佳 的 情 况 。 金 商 信 息 安 全 专 家7、 CobiT 信 息 及 相 关 技 术 控 制 目 标 （ Control Objectives for Information and related Technology,CobiT） 是 由美 国 信 息 系 统 审 计 与 控 制 协 会 针 对 IT过 程 管 理 制 定 的 一套 基 于 最 佳 实 践 的 控 制 目 标 ， 是 目 前 国 际 上 公 认 的 最 先进 、 最 权 威 的 安 全 与 信 息 技 术 管 理 和 控 制 标 准 。 金 商 信 息 安 全 专 家第 三 节 信 息 安 全 策 略u一 、 信 息 安 全 策 略 概 述u二 、 制 定 信 息 安 全 策 略u三 、 确 定 信 息 安 全 策 略 保 护 的 对 象u四 、 主 要 信 息 安 全 策 略u五 、 信 息 安 全 策 略 的 执 行 和 维 护 金 商 信 息 安 全 专 家 金 商 信 息 安 全 专 家 金 商 信 息 安 全 专 家信 息 安 全 策 略 定 义 信 息 安 全 策 略 是 一 组 经 过 高 级 管 理 层 批 准 ， 正 式 发 布和 实 施 的 纲 领 性 文 件 ， 描 述 了 一 个 企 业 、 组 织 的 高 层安 全 目 标 ， 它 描 述 应 该 做 什 么 ， 而 不 是 如 何 去 做 ， 一份 信 息 安 全 策 略 就 像 是 一 份 工 程 管 理 计 划 书 ， 这 意 味着 它 隐 藏 了 执 行 的 细 节 。 信 息 安 全 策 略 是 一 种 处 理 安 全 问 题 的 管 理 策 略 的 描 述 。安 全 策 略 必 须 遵 循 三 个 基 本 原 则 ： 确 定 性 、 完 整 性 和有 效 性 。 金 商 信 息 安 全 专 家信 息 安 全 策 略 的 重 要 性 信 息 安 全 策 略 是 位 于 核 心 地 位 的 方 针 和 政 策 的 集 合 ，虽 然 它 并 不 涉 及 具 体 的 执 行 细 节 ， 但 是 明 确 描 述 了 安全 保 护 的 对 象 范 围 ， 能 够 保 证 后 续 的 控 制 措 施 被 合 理的 执 行 ， 能 够 对 安 全 产 品 的 选 择 及 管 理 实 践 起 到 指 导和 约 束 作 用 。 遵 循 安 全 策 略 的 信 息 系 统 建 设 和 管 理 将会 形 成 一 个 统 一 的 有 机 整 体 ， 使 得 系 统 具 有 更 好 的 安全 性 。 金 商 信 息 安 全 专 家制 定 信 息 安 全 策 略 的 时 间u理 想 情 况 下 ， 制 定 信 息 安 全 策 略 的 最 佳 时 间是 在 发 生 第 一 起 网 络 安 全 事 故 之 前 。 金 商 信 息 安 全 专 家安 全 员 需 要 了 解 的 几 个 问 题 ： 1、 任 何 业 务 动 作 过 程 均 存 在 不 同 程 度 的 风 险 ；u 2、 保 险 公 司 不 愿 向 没 有 信 息 安 全 策 略 的 企 业 投 保 ；u 3、 一 个 包 括 软 件 开 发 策 略 在 内 的 安 全 策 略 对 与 开 发 更 安 全 的 系统 是 有 指 导 作 用 的 。u 4、 在 安 全 事 故 发 生 后 ， 安 全 事 故 很 可 能 重 复 发 生 ， 所 以 第 一 次发 生 后 实 施 安 全 策 略 尽 管 太 晚 ， 却 十 分 必 要 ；u 5、 发 生 安 全 事 故 制 定 安 全 策 略 时 ， 不 要 把 重 点 放 在 攻 破 的 地 方 ，要 从 全 局 考 虑 安 全 问 题 ；u 6、 安 全 策 略 给 用 户 的 印 象 是 企 业 对 安 全 问 题 非 常 认 真 ；u 7、 当 企 业 为 政 府 或 机 关 工 作 或 与 其 合 作 时 ， 一 份 安 全 策 略 应 该是 首 先 引 起 注 意 的 事 项 ；u 8、 向 用 户 展 示 企 业 质 量 标 准 控 制 所 要 求 的 可 评 价 安 全 程 序 来 说 ，安 全 策 略 可 以 作 为 该 程 序 的 指 导 方 针 。 金 商 信 息 安 全 专 家信 息 安 全 策 略 开 发 流 程u1、 确 定 信 息 安 全 策 略 的 范 围u2、 风 险 评 估 /分 析 或 者 审 计u3、 信 息 安 全 策 略 的 审 查 、 批 准 和 实 施 金 商 信 息 安 全 专 家制 定 信 息 安 全 策 略u制 定 信 息 安 全 策 略 的 原 则 ：u1、 先 进 的 网 络 安 全 技 术 是 网 络 安 全 的 根 本 保 证u2、 严 格 的 管 理 是 确 保 信 息 安 全 策 略 落 实 的 基 础u3、 严 格 的 法 律 法 规 是 网 络 安 全 的 坚 强 后 盾 金 商 信 息 安 全 专 家先 进 的 网 络 安 全 技 术 是 网 络 安 全 的 根 本 保 证u用 户 对 自 身 面 临 的 威 胁 进 行 风 险 评 估 ， 决 定 其 所 需 的安 全 服 务 种 类 ， 选 择 相 应 的 安 全 机 制 ， 然 后 集 成 先 进的 安 全 技 术 ， 形 成 一 个 全 方 位 的 安 全 系 统 。 金 商 信 息 安 全 专 家严 格 的 管 理 是 确 保 信 息 安 全 策 略 落 实 的 基 础u各 计 算 机 使 用 机 构 、 企 业 和 单 位 应 建 立 相 应 的 网 络 安全 管 理 办 法 ， 加 强 内 部 管 理 ， 建 立 合 适 的 网 络 安 全 管理 系 统 ， 加 强 用 户 管 理 和 授 权 管 理 ， 建 立 安 全 审 计 和跟 踪 体 系 ， 提 高 整 体 网 络 安 全 意 识 。 金 商 信 息 安 全 专 家严 格 的 法 律 法 规 是 网 络 安 全 的 坚 强 后 盾u面 对 日 趋 严 重 的 网 络 犯 罪 ， 必 须 建 立 与 网 络 安 全 相 关的 法 律 、 法 规 ， 使 非 法 分 子 不 会 轻 易 发 动 攻 击 。 金 商 信 息 安 全 专 家信 息 安 全 策 略 的 设 计 范 围u一 个 合 理 的 信 息 安 全 策 略 体 系 包 括 三 个 不 同 层 次 的 策略 文 档 ：u1、 总 体 安 全 策 略u2、 针 对 特 定 问 题 的 具 体 策 略u3、 针 对 特 定 系 统 的 具 体 策 略 金 商 信 息 安 全 专 家总 体 安 全 策 略 文 档u阐 述 指 导 性 的 战 略 纲 领 文 件 ， 阐 明 了 企 业 对 与 信 息 安全 的 看 法 和 立 场 、 信 息 安 全 的 目 标 和 战 略 、 信 息 安 全所 涉 及 的 范 围 、 管 理 组 织 架 构 和 责 任 认 定 以 及 对 与 信息 资 产 的 管 理 办 法 等 内 容 。 金 商 信 息 安 全 专 家针 对 特 定 问 题 的 具 体 策 略 文 档u阐 述 了 企 业 对 于 特 定 安 全 问 题 的 声 明 、 立 场 、 适 用 办法 、 强 制 要 求 、 角 色 、 责 任 的 认 定 等 内 容 ， 例 如 ： 针对 Internet访 问 操 作 、 计 算 机 和 网 络 病 毒 防 治 、 口 令的 使 用 和 管 理 等 特 定 问 题 ， 制 定 用 针 对 性 的 安 全 策 略 。 金 商 信 息 安 全 专 家针 对 特 定 系 统 的 具 体 策 略 文 档u针 对 特 定 系 统 的 具 体 策 略 ， 更 为 具 体 化 和 详 细 化 ， 阐明 了 特 定 系 统 与 信 息 安 全 有 关 的 使 用 和 维 护 规 则 等 内容 ， 如 防 火 墙 配 置 策 略 、 电 子 邮 件 安 全 策 略 等 等 。 金 商 信 息 安 全 专 家信 息 安 全 策 略 的 15个 制 定 范 围u1、 物 理 安 全 策 略u2、 网 络 安 全 策 略u3、 数 据 加 密 策 略u4、 数 据 备 份 策 略u5、 病 毒 防 护 策 略u6、 系 统 安 全 策 略u7、 身 份 认 证 及 授 权策 略u8、 灾 难 恢 复 策 略 u9、 事 故 处 理 、 紧 急 响 应策 略u10、 安 全 教 育 策 略u11、 口 令 管 理 策 略u12、 补 丁 管 理 策 略u13、 系 统 变 更 控 制 策 略u14、 商 业 伙 伴 、 客 户 关系 策 略u15、 复 查 审 计 策 略 金 商 信 息 安 全 专 家信 息 安 全 策 略 金 商 信 息 安 全 专 家物 理 安 全 策 略u物 理 安 全 策 略 包 括 环 境 安 全 、 设 备 安 全 、 媒 体 安 全 、信 息 资 产 的 物 理 分 布 、 人 员 的 访 问 控 制 、 审 计 纪 录 、异 常 情 况 的 追 查 等 。 金 商 信 息 安 全 专 家网 络 安 全 策 略u网 络 安 全 策 略 包 括 网 络 拓 扑 结 构 、 网 络 设 备 的 管 理 、网 络 安 全 访 问 控 制 （ 防 火 墙 、 入 侵 检 测 系 统 、 VPN等 ） 、 安 全 扫 描 、 远 程 访 问 、 不 同 级 别 网 络 的 访 问 控制 方 式 、 识 别 /认 证 机 制 等 等 。 金 商 信 息 安 全 专 家数 据 加 密 策 略u数 据 加 密 策 略 包 括 加 密 算 法 、 适 用 范 围 、 密 钥 交 换 和管 理 等 。 金 商 信 息 安 全 专 家数 据 备 份 策 略u数 据 备 份 策 略 包 括 适 用 范 围 、 备 份 方 式 、 备 份 数 据 的安 全 储 存 、 备 份 周 期 、 负 责 人 等 。 金 商 信 息 安 全 专 家病 毒 防 护 策 略u病 毒 防 护 策 略 包 括 防 病 毒 软 件 的 安 装 、 配 置 、 对 软 盘使 用 、 网 络 下 载 等 作 出 的 规 定 。 金 商 信 息 安 全 专 家系 统 安 全 策 略u系 统 安 全 策 略 包 括 WWW访 问 控 制 策 略 、 数 据 库 系 统安 全 策 略 、 邮 件 系 统 安 全 策 略 、 应 用 服 务 器 系 统 安 全策 略 、 个 人 桌 面 系 统 安 全 策 略 、 其 他 业 务 相 关 系 统 安全 策 略 等 。 金 商 信 息 安 全 专 家身 份 认 证 及 授 权 策 略u身 份 认 证 及 授 权